Threat Advisories

Ataque autopropagador a la cadena de suministro de npm dirigido a los tokens de desarrollador

Escrito por Integrity360 | 22-abr-2026 15:30:27

Se ha observado un nuevo y activo ataque a la cadena de suministro npm que abusa de credenciales comprometidas de mantenedores para autopropagar código malicioso a través de paquetes en el ecosistema Node.js. El malware roba material de autenticación (tokens npm, credenciales de nube, secretos CI/CD, claves SSH y datos de cartera) y utiliza cualquier token de publicación descubierto para inyectarse en paquetes adicionales propiedad del mismo mantenedor, creando una propagación lateral similar a la de un gusano.

La campaña fue identificada por Socket y StepSecurity y afecta a múltiples paquetes publicados por Namastex Labs, con al menos 16 paquetes comprometidos confirmados en el momento del informe. Debido a su modelo de propagación basado en credenciales, el radio de explosión puede expandirse rápidamente en entornos donde los desarrolladores o los sistemas CI conservan permisos de publicación.

Compromiso inicial y ejecución de la carga útil

El código malicioso se inyectaba en paquetes npm legítimos y se ejecutaba automáticamente cuando se instalaba el paquete. Una vez ejecutado, el payload realiza un extenso descubrimiento secreto en el sistema anfitrión, escaneando en busca de:

    • tokens de publicación npm
    • claves API (proveedores de nube, registros, plataformas LLM)
    • claves SSH y credenciales CI/CD
    • Archivos de configuración de Kubernetes y Docker
    • Secretos almacenados en navegadores como Chrome y Firefox, incluyendo monederos de criptomonedas (MetaMask, Exodus, Atomic Wallet, Phantom).

Mecanismo de propagación

Si el malware localiza credenciales de publicación npm válidas (por ejemplo, a través de variables de entorno o ~/.npmrc):

    • Enumera todos los paquetes npm que el token comprometido está autorizado a publicar
    • inyecta la misma carga maliciosa en esos paquetes
    • Los vuelve a publicar con números de versión incrementados
    • Permite la infección recursiva cuando los desarrolladores instalan las nuevas versiones.

Los investigadores describen explícitamente el malware como un "gusano de la cadena de suministro" capaz de propagarse de forma autónoma sin intervención del atacante una vez obtenidas las credenciales.

Riesgo entre ecosistemas

Si se descubren las credenciales PyPI en el mismo sistema, el malware intenta comprometer los paquetes Python utilizando un mecanismo de persistencia basado en .pth. Esto amplía el ataque más allá de JavaScript, convirtiéndolo en una amenaza de la cadena de suministro multiecosistema.

Paquetes afectados confirmados

En el momento de la publicación, se confirmó que los siguientes paquetes y versiones eran maliciosos y debían considerarse totalmente comprometidos:

    • @automagik/genie (4.260421.33–4.260421.39)
    • pgserve (1.1.11-1.1.13)
    • @fairwords/websocket (1.0.38-1.0.39)
    • @fairwords/loopback-connector-es (1.4.3-1.4.4)
    • @openwebconcept/theme-owc@1.0.3
    • @openwebconcept/design-tokens@1.0.3

Estos paquetes se utilizan habitualmente en herramientas de agentes de IA y servicios de datos backend, lo que aumenta el valor de los entornos comprometidos.

Impacto

    • Robo de credenciales que lleva al compromiso de la nube, CI/CD y repositorios.
    • Publicación no autorizada de paquetes maliciosos adicionales
    • Compromiso de aplicaciones dependientes
    • Pérdida de propiedad intelectual y secretos
    • Robo de monederos de criptomonedas en entornos de desarrolladores

Indicadores de compromiso

Las organizaciones deben investigar en busca de

    • Actualizaciones inesperadas de versiones de paquetes npm sin la correspondiente justificación de cambios upstream
    • Publicaciones no autorizadas desde cuentas de desarrolladores
    • Acceso a tokens npm fuera de los flujos de trabajo CI/CD esperados
    • Presencia de scripts desconocidos o JavaScript ofuscado en dependencias
    • Conexiones salientes sospechosas desde procesos de compilación tras instalaciones npm

La rápida cadencia de republicación (múltiples versiones maliciosas publicadas en cuestión de horas) es un indicador de comportamiento notable en esta campaña.

Medidas recomendadas

    • Elimine todas las versiones de paquetes maliciosos identificadas de entornos y canalizaciones.
    • Rotar todos los secretos potencialmente expuestos en los sistemas afectados (npm, GitHub, nube, CI/CD)
    • Revocar los tokens de publicación de npm y reemitirlos con un alcance mínimo.
    • Auditar el historial de publicación de todas las cuentas de los mantenedores
    • Auditoría de paquetes relacionados con el mismo archivo public.pem, el mismo host de webhook o el mismo patrón de postinstalación.

Si le preocupa alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe tomar para protegerse de las amenazas más importantes a las que se enfrenta su organización, póngase en contacto con su gestor de cuenta o, alternativamente, póngase en contactopara averiguar cómo puede proteger su organización.